为何WinDbg显示的CreateProcessAsUserW函数来源与MSDN不符？

问题描述 #

调试程序时需要为CreateProcessAsUserW设置断点，MSDN文档显示该函数由Advapi32.dll导出，但WinDbg查询结果却显示它位于KernelBase.dll，具体调试输出如下：

0:000> dt advapi32!CreateProc*
0:000> dt kernelbase!CreateProcessAsUser*
00007ffc504da520  KERNELBASE!CreateProcessAsUserA
00007ffc504da550  KERNELBASE!CreateProcessAsUserW

原因解释 #

这是Windows系统的API重定向（转发）机制导致的，具体细节如下：

• 从Windows 7/Vista版本开始，微软对系统API架构做了调整：把大量原本在Advapi32.dll、User32.dll等传统用户态系统DLL中的API实现，迁移到了更底层的KernelBase.dll中。
• Advapi32.dll里的CreateProcessAsUserW现在只是一个转发器（forwarder），本身没有实际实现代码，会直接跳转到KernelBase.dll中的对应函数。你可以用WinDbg执行x advapi32!CreateProcessAsUserW命令验证，会看到它的地址指向KernelBase的函数入口。
• MSDN文档标注的是API的编译期导入DLL——也就是开发者编写代码时链接的导入库（Advapi32.lib）对应的DLL，目的是告诉开发者编译时该链接哪个库。而WinDbg显示的是运行时实际执行的函数所在DLL，这是系统底层实现的真实位置。
• 这种设计是为了实现系统组件的模块化和版本兼容性：底层的KernelBase.dll可以独立更新迭代，而上层的传统DLL只做转发，保证旧程序不需要修改就能在新系统上正常运行。

内容的提问来源于stack exchange，提问作者pazdinho_